Безопасный Софт | Python, JavaScript

топ "правил" разработки качественного софта

1. Хранение приватных ключей

не храним приватники просто в коде, есть решения

Python os - библиотека для работы с операционной системой и доступ к переменным окружения

JavaScipt dotenv - также работа с переменными окружения только под JS/TS

2. Архитектура

Разделяем проект на независимые модули, каждый модуль отвечает за одну задачу + минимизация зависимостей между модулями.

Инструменты

SonarQube - анализ кода на ошибки, технический долг и архитектурные проблемы.

Structure101 - визуализация архитектуры кода и выявление лишних зависимостей.

3. Тестирование

Юнит-тесты: Проверка отдельных функций.

Интеграционные тесты: Проверка работы модулей вместе.

End-to-End тесты: Проверка всей системы в реальных условиях.

Проверка % протестированного кода - Istanbul для JavaScript и Coverage py для Python

справка

Места для хранения приватников

- HashiCorp Vault
- AWS Secrets Manager
- Google Secret Manager
- Azure Key Vault

Вот и первая часть, делаем следующую 🔥 ❤️ 💫

📟 Прилетело из @code_vartcall

☯️ Почистить карму

#новости по моим разработкам:

1. По @test_farmBot (напомню, что это бот в Bera chain testnet):
1.1. Комиссии в Bera chain упали: можно играть.
1.2. У многих балансы стали нулевые:
С получением этого сообщения вы получите $BERA.
1.3. Теперь в разделе "Для наград" вы можете зарегистрировать игровой кошелёк в качестве кошелька для наград.
Но стоит понимать, что в этом случае вы не сможете забирать HONEY на другие кошельки: доступ к адресу будет предоставлен только после выхода Bera chain в основную сеть.
1.4. Не писал в самом боте, но заменил на официальный RPC Bera chain: вроде опять заработал.
Также убрал одновременные запросы получения данных по рейтингу для наград, из-за чего он может формироваться дольше. За то нет ошибок таймаута...

2. Обновил скрипт по деплою смарт-контрактов:
У меня их несколько. Теперь смогу одним махом деплоить в новые сети, что будет удобнее отдельного деплоя...
Но ещё не проверял, как будет работать...
Завтра буду добавлять смарты в него и пробовать...

3. В @price_informerBot сделал перезапуск - обнаружил, что на команды перестал реагировать. А так как я его использую для уведомлений в основном, пропустил момент начала отсутствия реакции...
Сейчас сделал несколько исправлений: посмотрю, будет ли через время повторяться ситуация...
Почему она возникла:
обновил функции в соответствии с новыми промежутками перед повторами получения данных и отправки сообщений.

На этом всё.
Благодарю за внимание. Хорошего дня!

Канал (подписаться), Чат | бот | Поддержать донатом

📟 Прилетело из @blind_dev

📟 На серваки

не учебная тревога
Мелания трамп токен

FUAfBo2jgks6gB4Z4LfZkqSZgzNucisEHqnNebaRxM1P

сол пул
https://edge.meteora.ag/dlmm/DUB4Wd6ZA2f6ePwDghiPpfWf7Z2eQtqnuaPpPdD6Ebw1

юсдц пул
https://edge.meteora.ag/dlmm/9DiruRpjnAnzhn6ts5HGLouHtJrT1JGsPbXNYCrFz2ad

Альфа в чате была, кто увидел молодец

📟 Прилетело из @findmeonchain

📟 На серваки

Wallet checker

v2.5.2

* Airdrop checker: Plume
* Balance checker: Linea (быстрая проверка балансов ETH/стейблов, чтобы не грузить всю стату)
Теперь в user_data/config.js не будет никаких изменений, чтобы избежать конфликтов при обновлении. Сравнивайте ваш конфиг с config.example.js и переносите себе нужные изменение, как например линея в баланс чекере.

По поводу вчерашний бритвы Linea - все чекеры актуальные, можете проверять свои акки. Есть 2 варианта: в веб или консоли загрузить всю стату по линее, там будет статус PoH (не забудьте делать это через refresh) или в консольном варианте npm start linea-poh загрузит свежие статусы акков в развернутом варианте.

📟 Прилетело из @by_munris

☯️ Почистить карму

New changes of Telegram

📝 telegram.org/tos/bot-developers

GitHub · MarshalX/telegram-crawler@38b15df

#web

Crawl AI (beta)
––––––––––––––––––
- Updated the terms of service for bot developers to include a section on blockchain integration.
- Mini Apps implementing cryptocurrency functionality must exclusively use The Open Network (TON) blockchain.
- Introduced specific guidelines for issuing assets, connecting wallets, and promoting cryptocurrency wallets within Mini Apps.
- Established a grace period for compliance with the new blockchain-related clauses.
- Renumbered sections and adjusted headings for clarity and organization throughout the document.

📟 Прилетело из @xcrypto_dev

📟 На серваки

@NikDurovsCorner

📟 Прилетело из @danokhlopkov

☯️ Почистить карму

Won't it?
Will it?

@NikDurovsCorner

📟 Прилетело из @danokhlopkov

☯️ Почистить карму

#комментарии - дайджест:

1. Dinero: Переосмысление стейкинга.
Выпустили $pxETH: токен без дохода со стейкинга для ликвидности; $apxETH - с доходами со стейкинга без использования в DeFi (получают и тот доход, что не дополучают холдеры pxETH).
Интересно, что они раньше выпускали PX-токены для ликвидного стейкинга в ДАО, например, $pxGMX.

2. Обзор Arbitrum DeFi экосистемы.
Сеть уникальна тем, что есть свои проекты DeFi сферы.
По словам автора, несмотря на FUD, Arbitrum хорошо держится в плане TVL и активности в блокчейне.
Из уникальных проектов: Gmx и Vertex, Synthetic Trading - PERP.
Dopex, dVol, Hegic, Premia, Gammaswap - опционы.
Dexes: Camelot, Ramses.
Протоколы доходности и лендинга: Pendle, Magpie, Сектор доходности не стоит на месте. Разработка новых стратегий и запуск новых протоколов кредитования, таких как Fluid (который имеет более 1,4 млрд долларов в TVL и только что запущен на Arbitrum), обеспечивают хранилища с привлечением заемных средств и непревзойденную эффективность использования капитала для LPS на Arbitrum....
Стейблкоины: USDC мост Hyperliquid, Usual, OpenDollar.
RWA: STEP DAO, Franklin Templeton, Ondo Finance и Mountain Protocol...

3. Архитектура, основанная на намерениях, и её риски.
Статья 2023 года, но полезная.
При использовании публичных аналогов мемпулов для намерений появятся риски атак опережением, как с транзакциями. При использовании приватных, особенно если будет неизвестно как исполняются намерения, появятся риски неэффективного исполнения и централизации...
В общем, тема на подумать...

4. Понимание основанных роллапов: полная анархия в предложении блоков Taiko.
Есть 2 предлагающих, которые публикуют блоки с большой прибыльностью, а Taiko labs получают громадный убыток (> 200 тысяч $).
Проводится анализ + предложение решений:
Либо предварительное исполнение, либо выбор предлагающего через билеты.
Последний вариант, как по мне, был бы хорош, особенно если выдавать билеты на основе стейка $TAIKO.

5. Как сделать кроссчейн токены снова взаимозаменяемыми: часть I.
Токены мостов неудобны тем, что зачастую не хватает ликвидности + создаёт путаницу у пользователей.
Мосты на основе ликвидности решают проблему лишь частично, т. к. есть проскальзывание, а в случае нехватки ликвидности работа фактически остановится...
Создатели проектов тоже сталкиваются с проблемой кроссчейн токенов:
Они зачастую не могут обладать доп. функционалом основного токена, их невозможно переводить от одного моста к другому в случае чего-либо (полная зависимость) и пр...
Решение: ERC-7281 или ZERC-20. В рамках статьи он не был описан.

6. Тезис о Bitcoin L2.
По мнению авторов, Bitcoin L-2 могут показать себя, так как расширяют возможности крупнейшей криптовалюты.
BTC L2 масштабируют Bitcoin, сохраняя его безопасность. В этом главное отличие от Ethereum L2, которые сначала делают скоростные L2, а уже потом думают об увеличении безопасности.
Всё верно, хотя статья больше напоминает рекламирующую Alpen Labs с их L2 сетью Strata.

7. Почему рынки прогнозов не работают (и как это исправить).
В Polymarket опять была история спорная: проект изменил целевую дату события на 20 декабря, когда должны были принять закон против остановки правительства США. Но т. к. его не было, стал победителем вариант "Да". Хотя остановки не было, да и изначальная целевая дата была 31 декабря.
Uma поддержали этот вариант...
Вот в статье и рассуждают, что Uma не является независимым оракулом, так как капитализация около 200 МЛН $, да и голосует лишь 20% токенов. Ставки же происходят на 300 МЛН $. Теоретически, ставящие могут и голосовать за свой вариант.
А даже если и нет, участники Uma могут поддерживать тех, кто ставит много, чтоб продолжали использовать Uma.
Предлагается использовать несколько оракулов, ИИ и фиксацию цели с источником в блокчейне для невозможности изменения после запуска рынка. Ну и конечно установить иерархию правил и доказательства ончейн.

Продолжение ниже...

Канал (подписаться), Чат | бот | Поддержать донатом

📟 Прилетело из @blind_dev

🍣 На суши

#комментарии - дайджест, часть 2:

8. 69 тенденций в дизайне ДАО 2025 года.
Большая X статья.
Разделы (в скобках примеры): Интеграция ИИ (ИИ-делегат), Финансовые механизмы (стимулы на основе KPI, ретроактивное финансирование), Модели управления (двойное управление, текучая демократия с делегированием друг другу, оптимистичное управление, соединение ончейн и оффчейн, голосование по репутации и управление на основе ролей), Информация о финансах (децентрализованная проверка фактов, Футархия), Инфраструктура (Aragon OSx), Модели организации (композитное и модульное управление), Экономика токенов (динамические разблокировки, управление стейкингом).

9. Как Espresso Network представляет собой «суперчейн» взаимодействия для всех Ethereum L2.
Espresso Network предоставляет мало-доверительный способ для L2 блокчейнов обмениваться сообщениями с меньшей задержкой (несколько секунд) и меньшими затратами, чем через L1.
Optimism Superchain использует оптимистичную проверку, но при злоупотреблении секвенсором отправляющей сети может произойти каскадная реорганизация связанных сетей.
Agglayer Polygon и Elastic Chains ZkSync обмениваются доказательствами действительности, однако остаётся риск отправки другого блока в L1, не предоставленного другим сетям.
Espresso Network использует консенсус BFT Hotshot, масштабируемый до большого, географически разнообразного набора валидаторов, сравнимого с Ethereum, обеспечивая схожую экономическую безопасность. Транзакции подтверждаются за несколько секунд. Hotshot согласовывает только упорядоченные блоки данных без их проверки валидаторами. Благодаря публикации блоков L2 в том же порядке, что и в L1 Ethereum, сети-получатели могут проверять их через несколько секунд, избегая больших реорганизаций. Это применимо для любых Ethereum L2.
Предлагается общий мост ликвидности — L2, получающий средства из L1 Ethereum вместо отдельных мостов для каждого L2. После депозита сообщение о появлении ETH отправляется в целевой L2.
Другой вариант: независимые мосты с выпуском ETH при сжигании ETH в других L2, откуда пользователь хочет отправить токены. При выводе, если ETH недостаточно, может потребоваться использование моста другой L2 сети.

10. Про встроенные роллапы.
То, о чём я говорил в контексте общего хранилища ключей и данных...
Встроенные роллапы (ER) - роллапы, которые встроены в другие роллапы и совместно используются ими. При встраивании ER роллап сохраняет и обновляет состояние ER вместе со своим собственным, что дает роллапу локальное представление состояния ER только для чтения во время выполнения. Если несколько роллап встраивают один и тот же ER, они могут совместно использовать это состояние только для чтения, не полагаясь на состояние L1 или выполнение. Это общее состояние только для чтения кросс-роллапов может использоваться для таких вариантов использования, как общие хранилища ключей и значений, включая ENS и хранилища ключей, а также общий мостовой слой.
Предлагается делать ER в виде EVM, но я считаю, что лучше просто key-value хранилище с ZKP… Так надёжнее...

11. Compass Labs запускает API DeFi Execution.
Создатели API занимаются добавлением смарт-контрактов в удобный API с конкретными запросами, а разработчики - создают приложения, не обращая внимание на EVM.

12. Pyth Lazer: сверхдетализированные потоки цен и рыночные данные со временем обновлением всего в 1 мс.
Естественно это с учётом уменьшения децентрализации, но Pyth core остаётся для протоколов, отдающих приоритет надежной децентрализации наряду с надежной производительностью.
Будет возможность устанавливать и свою периодичность, наприммер, 50 или 200 МС.
Pyth Lazer предоставляет комплексный набор рыночных данных, адаптированных к потребностям современных протоколов. От цен спроса и предложения до глубины рынка — и вскоре, пользовательских методов усреднения — Pyth Lazer может оснастить платформы DeFi инструментами для прямой конкуренции с централизованными системами.

Всё. Благодарю за внимание. Хорошего дня!

Канал (подписаться), Чат | бот | Поддержать донатом

📟 Прилетело из @blind_dev

☕️ На кофе

Завтра вечером спецвыпуск 🤓 https://youtube.com/live/pFoVimn3AoQ?feature=share

📟 Прилетело из @dev_in_ruby_colors

📟 На серваки

Адаптируйся или умри

За последние пару месяцев темпы работы возросли, а список задач не влезает в бесплатное хранилище ноушена?
Задумываешься об автоматизации, но тебя преследуют:
— Боязнь потери на фишинге и ошибках в чужом софте
— Трата времени на ручные действия
— Желание масштабироваться вместе с нехваткой опыта в этом

Ребятами из hodlmod, начали вести канал AIO Study, где простыми словами рассказывают о:
— написании автоматизации для чего угодно
— соблюдении мер безпасности при запуске софтов
— тонкостях проверки чужого кода
— личном опыте и примерах из жизни

Помимо этого научат писать код с нуля любого, даже фьючетрейдера.

Чекните гем для новеньких и подписаться не забудьте

📟 Прилетело из @findmeonchain

📟 На серваки

Зачем брать ответственность в найме

В комментариях к последнему посту @mister_sosister поделился своим опытом, как отсутствие лидерства влияет на эффективность команды, и поделился формулой:

Leadership = Ownership + Control

Мне показалось важным развить тему и ответить на интересный комментарий:

В чем смысл наемному гребцу хотеть больше всех и напрягаться, если эквити всё ещё маржинальный? Просто из искреннего желания сделать вот этот конкретный продукт/фичу? Или это тянется мотивацией / скиллом мотивации его лидера?

Вот мой ответ:

Я думаю, смысл в том, что ты делаешь это для себя, а не для компании.

Когда ты берешь ответственность за проект, ты развиваешь именно себя — свои навыки, свою репутацию, свой фундамент. Даже если проект провалится или компания закроется, ты уйдешь с этим багажом и сможешь двигаться дальше.

Не верю в то, что человек может 30 лет сидеть на печи, а потом начать сразу же запускать ракеты в космос. Прямо как мышца — чтобы вырасти, нужно начинать с малого, накапливать опыт, навыки и постепенно становиться тем, на кого можно положиться в любой ситуации.

Каждый вызов — это возможность роста. Это долгосрочная стратегия: сначала ты инвестируешь в себя, строишь привычку брать ответственность, доводить до конца, справляться с трудностями. И это влияет не только на работу, но и на все сферы жизни.

Плюс, именно такие качества всегда ценятся дорого: люди готовы платить премиум за все редкое в этом мире. Это может быть прямым билетом к запуску собственного бизнеса или более высокой зарплате.

Но результат от такой стратегии — отсрочен. Это инвестиция в будущее, которая дает экспоненциальный рост, но требует времени и терпения.

А что думаете вы?

📟 Прилетело из @max_grock

👧 На суши и девочек

Сегодня через полтора часа поговорим о валидаторах https://youtube.com/live/OoQALe_7wyY?feature=share

📟 Прилетело из @dev_in_ruby_colors

📟 На серваки